I creatori di YouTube sono presi di mira da truffatori che offrono collaborazioni di brand attraenti che possono portare infine a furti di account Google. Secondo cybersecurity company ESET , la campagna utilizza email personalizzate e siti di collaborazione convincenti per far apparire legittime opportunità di sponsorizzazione fraudolente.
Gli aggressori si spacciano per aziende riconoscibili, tra cui Hollyland, Nike e Spotify. Invece di richiedere immediatamente informazioni sensibili, si rivolgono ai creatori con offerte che somigliano a normali negoziazioni commerciali, a volte facendo riferimento a video specifici per rendere la proposta più convincente.
ESET ha esaminato un caso che coinvolgeva un giornalista in Perù che aveva ricevuto un’email presumibilmente dal team di partnership con i creatori di Hollyland. Il mittente ha offerto un prodotto e una potenziale collaborazione a lungo termine, ma l’email proveniva da un dominio non correlato all’azienda.
Dopo che il destinatario ha risposto con le sue tariffe, il presunto rappresentante l’ha indirizzata a un sito web dove le è stato chiesto di verificare le sue statistiche su YouTube e organizzare la collaborazione.
La piattaforma fraudolenta presentava un branding dall’aspetto professionale, stime degli utili e strumenti presumibilmente progettati per gestire contratti e pagamenti. Recuperava inoltre informazioni pubbliche dal canale YouTube del creatore, facendo apparire l’esperienza personalizzata.
Secondo ESET, la fase più pericolosa è arrivata quando ai creatori è stato chiesto di accedere a Google per confermare la proprietà dei loro canali.
Una pagina di autorizzazione Google autentica può richiedere l’accesso a informazioni o permessi che potrebbero permettere a un servizio di terze parti di gestire un canale YouTube. Una pagina di accesso falsa, tuttavia, può rubare password e codici di verifica, potenzialmente dando ai criminali il controllo dell’intero account Google.
ESET ha evidenziato una presa di controllo dell’account segnalata da un creatore che si è imbattuto in una versione della truffa. Gli aggressori avrebbero sostituito il suo numero di telefono di recupero e l’indirizzo email aggiungendo i propri codici di backup, rendendo difficile per lei riottenere l’accesso.
I ricercatori hanno identificato siti web simili che operano con nomi diversi, incluse varianti che usano “Scouty.” ESET ha scoperto che questi siti condividevano elementi tecnici nonostante si spacciassero per marchi diversi, suggerendo che i truffatori potessero adottare ripetutamente lo stesso schema.
La campagna ha preso di mira creatori in diversi paesi, tra cui Perù e Giappone, con domini fraudolenti che sono cambiati tra giugno e agosto.
ESET raccomanda di verificare in modo indipendente le offerte di sponsorizzazione tramite i canali ufficiali dell’azienda e di controllare gli indirizzi dei siti web prima di effettuare il login. I creatori dovrebbero anche esaminare i permessi richiesti da Google, evitare di concedere accessi non necessari agli account e utilizzare metodi di autenticazione robusti.
Chiunque sospetti che il proprio account sia stato compromesso dovrebbe consultare le applicazioni connesse, le impostazioni di recupero e le attività di accesso recenti tramite gli strumenti ufficiali di sicurezza di Google. Se l’accesso è già stato perso, il processo di recupero account di Google è il passo successivo appropriato.